Tránh xung đột giữa nftables và iptables trên cùng host
Các công cụ có thể quản lý backend khác nhau hoặc các phần luật khác nhau. Sửa một nơi rồi nhìn nơi khác dễ dẫn đến kết luận sai rằng luật đã biến mất.
Đọc hướng dẫnKIẾN THỨC PROXYANTI
Hướng dẫn bảo vệ máy chủ game.
308 bài về chống DDoS, proxy TCP/UDP, giám sát và vận hành. Mỗi bài giải quyết một tình huống cụ thể.
Danh sách bài viết · Trang 4/13
Đặt tên table riêng để quản lý luật game an toàn
Một nhóm luật có tên và phạm vi rõ giúp cập nhật dễ kiểm tra hơn. Điều này đặc biệt hữu ích khi host còn chạy website, cơ sở dữ liệu hoặc container.
Đọc hướng dẫnKiểm tra cú pháp nftables trước khi áp dụng
Sai cú pháp nên được phát hiện trước khi tác động lên lưu lượng. Kiểm tra cấu hình không thay thế thử hành vi nhưng giúp loại bỏ một lớp lỗi triển khai.
Đọc hướng dẫnBurst trong rate limit cần hiểu như thế nào?
Lưu lượng hợp lệ thường không đều từng mili giây. Khoảng đệm burst cho phép một đợt ngắn đi qua, nhưng nếu quá lớn có thể giảm tác dụng bảo vệ.
Đọc hướng dẫnThiết kế set động có timeout và giới hạn dung lượng
Set động lưu thông tin theo nguồn cũng tiêu thụ bộ nhớ. Khi số nguồn tăng nhanh, chính cấu trúc bảo vệ có thể trở thành tài nguyên cần giới hạn.
Đọc hướng dẫnAllowlist health check mà không tạo lỗ hổng rộng
Health check cần đi qua bộ lọc, nhưng ngoại lệ quá rộng có thể bỏ qua nhiều kiểm soát hơn dự kiến. Quyền truy cập nên gắn với chức năng kiểm tra cụ thể.
Đọc hướng dẫnĐặt giới hạn log ở luật drop
Log chi tiết giúp điều tra nhưng ghi theo từng gói có thể tiêu CPU và đầy đĩa. Bộ đếm tổng hợp nên là dữ liệu chính trong đợt lưu lượng lớn.
Đọc hướng dẫnGiữ IPv6 trong phạm vi kiểm tra firewall
Nếu dịch vụ có IPv6 công khai, bảo vệ chỉ cho IPv4 có thể để lại đường truy cập khác. Ngược lại, chặn IPv6 thiếu suy nghĩ có thể làm một số client kết nối lỗi.
Đọc hướng dẫnKhông chặn ICMP theo thói quen khi bảo vệ game
ICMP có nhiều chức năng chẩn đoán và thông báo mạng. Chặn toàn bộ có thể làm việc xác định lỗi và phát hiện vấn đề MTU khó hơn.
Đọc hướng dẫnTheo dõi conntrack trước khi nâng giới hạn
Bảng conntrack có thể cạn khi nhiều luồng được theo dõi. Nâng trần cần cân nhắc bộ nhớ và nguyên nhân tạo luồng, thay vì chỉ sửa con số tối đa.
Đọc hướng dẫnThay nf_conntrack_tcp_loose cần xem phạm vi toàn host
Một tham số toàn host có thể ảnh hưởng nhiều dịch vụ ngoài cổng game. Đặc biệt với triển khai SYNPROXY hoặc đường mạng bất đối xứng, cần thử kỹ hành vi phiên.
Đọc hướng dẫnReload firewall có làm mất kết nối đang chơi không?
Hành vi khi reload phụ thuộc cách cập nhật luật và trạng thái liên quan. Một script xóa rồi tạo lại có thể khác một lần cập nhật có kiểm soát.
Đọc hướng dẫnChuẩn bị đường quản trị trước khi siết firewall
Một luật áp dụng nhầm có thể làm mất SSH đúng lúc cần quay lui. Đường console của nhà cung cấp hoặc kênh quản trị riêng phải sẵn sàng trước thay đổi.
Đọc hướng dẫnKiểm tra luật sau reboot thay vì chỉ sau reload
Luật đang chạy có thể chưa được lưu vào nguồn cấu hình khởi động. Máy chủ reboot rồi mất bảo vệ là lỗi vận hành có thể phòng tránh bằng kiểm thử.
Đọc hướng dẫnĐánh giá chặn theo quốc gia cho cộng đồng game
Chặn theo vị trí IP có thể giảm một phần truy cập không mong muốn nhưng dễ ảnh hưởng người chơi đi nước ngoài, dùng VPN hoặc mạng được định vị sai. Đây là quyết định sản phẩm…
Đọc hướng dẫnĐặt thời hạn cho danh sách chặn tạm thời
Địa chỉ công khai có thể đổi chủ hoặc được nhiều người dùng chung. Danh sách cấm không có thời hạn dễ tích lũy chặn nhầm sau sự cố.
Đọc hướng dẫnKhóa port game ở máy gốc chỉ cho proxy truy cập
Đổi địa chỉ trong client chưa ngăn người biết IP cũ truy cập trực tiếp. Cần chính sách tại máy gốc để đường vào phù hợp kiến trúc đã chọn.
Đọc hướng dẫnRà soát DNS cũ có làm lộ IP máy gốc không?
Một bản ghi phụ còn trỏ về máy gốc có thể phá mục tiêu tách địa chỉ công khai. Chỉ sửa tên miền chính chưa xử lý các tên còn lại trong vùng DNS.
Đọc hướng dẫnTách website và game để giảm đường lộ origin
Nếu website và game cùng IP gốc, bảo vệ một cổng game không che được địa chỉ còn xuất hiện trên website hoặc dịch vụ khác. Cần nhìn toàn bộ địa chỉ công khai.
Đọc hướng dẫnRà IP gốc trong cấu hình launcher phát hành
Launcher có thể giữ địa chỉ cũ trong file cấu hình, danh sách máy chủ hoặc đường tải cập nhật. Người dùng có thể tiếp tục kết nối trực tiếp dù trang web đã đổi.
Đọc hướng dẫnAPI danh sách server có thể trả IP thật
Ứng dụng thường lấy endpoint game sau khi đăng nhập. Nếu API vẫn trả địa chỉ gốc, người chơi có thể bỏ qua proxy ngay trong luồng sử dụng bình thường.
Đọc hướng dẫnTách SSH khỏi đường công khai dành cho người chơi
Port game cần công khai không có nghĩa giao diện quản trị cũng phải mở cho mọi nguồn. Tách đường quản trị giúp giảm bề mặt truy cập và đơn giản hóa luật.
Đọc hướng dẫnĐóng cổng cơ sở dữ liệu khỏi Internet
Cơ sở dữ liệu thường chỉ cần nhận kết nối từ ứng dụng. Mở công khai làm tăng bề mặt tấn công và có thể tạo thêm điểm nghẽn ngoài đường proxy game.
Đọc hướng dẫnĐổi IP gốc đã lộ: lập kế hoạch không mất người chơi
Đổi địa chỉ có thể hữu ích khi kết hợp khóa đường trực tiếp, nhưng dịch vụ và phụ thuộc phải được cập nhật đồng bộ. Nếu tiếp tục công khai địa chỉ mới, lợi ích sẽ ngắn hạn.
Đọc hướng dẫn